Seminar Elcomsoft Advanced Office und PDF Password Recovery Training

Dieses Training behandelt passwortgeschützte Office-, OpenDocument- und PDF-Dateien in forensischen und administrativen Untersuchungen. Die Arbeit erfolgt mit reproduzierbaren Angriffsschemata, klarer Trennung von Original und Arbeitskopie sowie belastbarer Ergebnisprüfung.

Inhaltsübersicht

• Schutzarten bei Office-, OpenDocument- und PDF-Dateien unterscheiden
• Dateien forensisch übernehmen, katalogisieren und priorisieren
• Sofortzugriffe, Schwachstellen und klassische Passwortangriffe einordnen
• Wörterbücher, Masken, Regeln und GPU-Ressourcen zielgerichtet einsetzen
• Ergebnisprüfung und Dokumentation für Prüf- und Ermittlungsakten erstellen

Einordnung

Zwei Tage sind erforderlich, weil Office- und PDF-Formate unterschiedliche Schutzmechanismen, Versionen und Angriffspfade besitzen. Der erste Tag behandelt Grundlagen und einzelne Dateien, der zweite Tag vertieft Stapelverarbeitung, Optimierung und Dokumentation.

Zielgruppe

IT-Forensik, Revision, Incident Response, interne Ermittlungen, Datenschutzprüfung und autorisierte Administration mit Bedarf an Dokumentenentschlüsselung.

Voraussetzungen

Sicherer Umgang mit Windows, Dateiformaten, Hashwerten und Grundbegriffen der Passwortanalyse wird vorausgesetzt.

Seminarinhalte

1. Schritt 1: Fallmaterial wird inventarisiert, gehasht und nach Format, Herkunft und Priorität gruppiert.
2. Schritt 2: Schutzart, Programmversion und potenzielle Sofortzugriffe werden geprüft.
3. Schritt 3: Bekannte Kontextinformationen werden in eine Passwort-Hypothesenliste übertragen.
4. Schritt 4: Wörterbücher, Regeln, Masken und Zeichensätze werden passend zum Fall konstruiert.
5. Schritt 5: Kurze Testläufe prüfen, ob die Konfiguration zum Dateiformat und zur Hardware passt.
6. Schritt 6: GPU-gestützte Läufe werden geplant, überwacht und anhand von Geschwindigkeit und Trefferwahrscheinlichkeit bewertet.
7. Schritt 7: Stapelverarbeitung mehrerer Dateien wird mit Prioritäten und Abbruchkriterien aufgebaut.
8. Schritt 8: Treffer werden mit Arbeitskopien validiert; falsch positive Ergebnisse werden ausgeschlossen.
9. Schritt 9: Nicht erfolgreiche Läufe werden nicht verschwiegen, sondern mit Parametern, Laufzeit und Grenzen dokumentiert.
10. Schritt 10: Ein vollständiges Untersuchungsprotokoll wird aus Inventar, Angriffspfaden und Ergebnissen erstellt.

Praxisübungen

• Analyse geschützter Office- und PDF-Übungsdateien
• Aufbau eines fallbezogenen Wörterbuchs mit Varianten
• Priorisierung einer kleinen Dokumentensammlung
• Erstellung eines reproduzierbaren Ergebnisprotokolls